文章总结： 文章揭露针对网络安全求职者的假面试投毒攻击，攻击者伪装招聘人员发送恶意代码仓库，诱导求职者运行以窃取浏览器凭证、密钥和钱包资产。WaterPlum团伙已影响3万台设备，窃取超千万美元。文章提供识别攻击的5种警示信号及安全建议，强调核实身份、使用隔离环境运行项目，并给出应急处理措施。
综合评分： 75
文章分类： 安全意识,社会工程学,恶意软件,威胁情报
网安秋招警惕“假面试”投毒：已有3万台设备中招
原创
小胖快学网络安全
小胖快学网络安全
小胖快学网络安全吧
2026年9月21日 20:56
湖北
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
假设你刚加上一位招聘负责人。
公司能查到，岗位介绍也挺正规。聊了几句，对方发来一个代码仓库，说这是技术面试题，让你先把项目跑起来，第二天再聊实现思路。
项目运行时报错，对方很快发来一段命令：“复制到终端执行一下就好了。”
这时候，你会照做吗？
秋招节奏快，大家都怕错过机会。对方顶着招聘人员的身份，前面又铺垫了那么多，很少有人会把这一刻和网络攻击联系起来。
问题恰恰出在这里。
你以为自己在做面试题，对方等的可能只是你亲手把陌生代码跑起来。
01 “假面试”已经不是一种猜测
2026年9月18日，日本警察厅、美国FBI、澳大利亚网络安全中心等机构联合发布了一份安全通告。
通告提到，一个被称为WaterPlum的朝鲜攻击团伙，会伪装成雇主、招聘人员或者技术负责人，通过招聘网站、社交平台和自由职业平台接触求职者。
他们提供的岗位通常不差，涉及软件开发、人工智能、区块链、加密货币和Web3等方向。
前面是正常的岗位沟通，后面也可能真的安排视频面试。等求职者逐渐放下戒心，对方才会发来所谓的“编程测试”。
有的是代码仓库，有的是需要安装依赖的项目。还有一种做法，是在视频会议出现“故障”时，让求职者下载文件或者执行修复命令。
恶意程序就混在这些操作里。
官方披露，从2025年12月至2026年7月，该团伙至少影响了100多个国家的3万台设备，超过7000个加密货币钱包的资金或账户凭证遭到窃取，涉及资产约1071万美元。
因为对方盯上的并不是普通消费者，而是软件开发者、Web工程师和IT专业人员。
这群人有一个共同习惯：收到项目后，拉代码、装依赖、运行起来看看。
网安学生参加技术面试时，面对的恰好也是这种环境。
02 项目跑起来了，风险也可能跟着启动
这类攻击最容易让人中招的地方，是它不像传统印象里的“病毒文件”。
对方不会一上来就发一个来历不明的安装包。相反，他会先和你聊技术栈、工作内容和面试流程。等你确认“这应该是一次正常招聘”后，再把有问题的内容塞进项目里。
接下来的事情就顺理成章了：
对方发来代码仓库，催你完成面试任务；你在自己的电脑上安装依赖、运行项目；隐藏在其中的程序开始读取浏览器信息、本地文件和账号凭证。
联合通告提到，可能被获取的内容包括浏览器保存的账号密码、剪贴板、键盘输入、屏幕截图、数字钱包信息，以及电脑和共享目录中的文件。
如果本机还留着GitHub Token、SSH密钥或者云平台密钥，事情会更麻烦。
这些凭证相当于代码仓库和服务器的“备用钥匙”。攻击者拿到以后，影响的可能就不只是你的个人账号，还可能包括项目源码、云主机甚至企业内部系统。
所以，受害者以为自己在接受面试，对方真正想确认的，却是这台电脑里有什么值得拿走。
03 遇到这5种情况，先停一下
技术面试要求做代码作业很正常，不能看到陌生项目就一律当成骗局。
但下面这些情况如果同时出现，就别急着运行了。招聘者的身份无法核实
对方只使用私人邮箱或者聊天软件联系你，企业官网查不到相关岗位，邮箱后缀和公司域名也对不上。
头像、职位和公司名称都可以复制，不能只凭一张资料页判断身份。岗位好得有些不真实
没有经过多少技术沟通，对方就给出明显偏高的薪资、完全远程办公或者快速入职的承诺。
条件越诱人，人越容易忽略本来应该做的核实。一直催你马上运行
“今天必须完成。”
“运行成功才能进入下一轮。”
“先别检查了，肯定没问题。”
正常公司不会介意候选人检查项目，更不会把“马上执行”当成进入下一轮的条件。要求关闭安全软件
如果项目必须关闭杀毒软件、防火墙或者系统保护才能运行，基本没有继续冒险的必要。
公司要考察的是技术能力，不是看你愿不愿意关闭安全防护。让你执行看不懂的命令
特别是那些会下载远程文件、修改系统设置或者隐藏执行过程的命令。
看不懂，就不要运行。对方自称面试官，并不会让一段陌生命令变得更安全。
04 项目可以做，别在主力机上裸跑
遇到技术面试项目，我更建议先做一个简单的“红黄绿灯”判断。绿灯：身份和项目都能验证
企业官网能查到岗位，招聘人员使用企业邮箱，任务要求说得清楚，也允许候选人先检查代码。
这种项目可以正常查看。不过在运行之前，依赖和自动执行脚本还是要过一遍。黄灯：暂时不能确定有没有问题
招聘者身份无法完全确认，代码仓库比较陌生，项目里又包含大量依赖或者自动执行脚本。
这种情况不一定是骗局，但没有必要拿主力电脑去赌。
可以使用虚拟机、沙箱或者专门的测试电脑。测试环境里不要登录私人邮箱、代码平台、云服务和数字钱包，也别把真实密钥、证件和工作资料放进去。红灯：到这里就该停了
对方要求关闭安全软件、导入钱包或者云平台凭证，又或者坚持让你执行无法解释的命令。
这时候先别考虑会不会错过面试，重新核实岗位和招聘者身份更重要。
面试项目可以做，但求职焦虑不能替你按下“信任并运行”。
05 已经运行了，现在怎么办？
如果你刚刚运行过来源不明的项目，先别只顾着删除文件。
第一件事是断开网络，减少可疑程序继续向外传输数据的机会。
接下来换一台可信设备处理重要账号。修改邮箱、代码平台和云服务的密码，同时注销其他登录会话。
如果电脑里存过GitHub Token、SSH密钥或者云平台访问密钥，还要把旧密钥撤销，再重新生成。只改密码，不一定能让已经泄露的密钥失效。
浏览器保存的密码、Cookie、钱包插件，以及本机存放的个人证件和敏感文件，也要逐项检查。
设备里如果有数字钱包，可以考虑在干净设备上创建新钱包并转移资产。
即使安全软件已经完成查杀，也不能据此判断数据从未被传出去。如果电脑中长期保存着重要凭证，或者后续仍然出现异常进程、弹窗和网络连接，备份必要文件后重装系统会更稳妥。
删除项目，只是删掉了眼前的文件，并不代表风险已经消失。
写在最后
这篇文章不是想让大家拒绝所有面试项目。
企业通过代码作业了解候选人的真实水平，很正常。真正值得警惕的，是几件事同时出现：
身份无法验证，岗位好得不真实，不断催促运行，项目来源不明，还要求关闭安全保护。
有时间的话，可以检查一下自己的求职电脑：
浏览器里是不是保存了重要密码？
代码平台和服务器密钥是不是长期留在本机？
个人证件、钱包插件和项目源码，是不是全放在同一台电脑里？
有些人发给你的不是offer，而是一个等着你亲手运行的入口。
你在面试中遇到过要求下载项目、安装依赖或者运行命令的情况吗？当时是怎么判断的？
星球介绍
一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了2年左右，已经有600+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，快加入我们吧。系统性的知识库已经有：《Java代码审计》++《Web安全》++《应急响应》++《护网资料库》++《网安面试指南》
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：小胖快学网络安全吧 小胖快学网络安全
小胖快学网络安全《网安秋招警惕“假面试”投毒：已有3万台设备中招》